OK, descubrí qué estaba mal para que funcione. La base de datos de autenticación que se usa para verificar las credenciales es la misma que MONGO_DBNAME , no MONGO_AUTH_DBNAME valor. Entonces, en mi ejemplo, los usuarios deben existir en <mongo_db> base de datos, no en el <auth_db> como esperaba.
Pero entonces, ¿cuál es el propósito de MONGO_AUTHDBNAME configuración?
